Cisco 200-301: IP-diensten, NAT en Quality of Service — Studiegids

By Laurynas Brazys · 14 August 2026 · #cisco #200-301 #certification #exam-prep #study-guide

Onderdeel van de Cisco CCNA 200-301 — Studiegids. Oefen met geverifieerde antwoorden in het Cisco-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

IP-services verbinden netwerken met elkaar en houden ze observeerbaar, bereikbaar en voorspelbaar onder belasting. Dit gedeelte behandelt de levering van kerndiensten (DHCP, DNS, NTP), zichtbaarheid en signalering (SNMP, syslog, NetFlow, telemetrie), adresvertaling (NAT) en verkeersafhandeling (QoS), en legt vervolgens de link met first-hop redundancy en operationele validatie. Ontwerpkeuzes leggen de nadruk op deterministisch gedrag, ’least privilege’ en ‘graceful degradation’ tijdens storingen.

IP-kerndiensten: DHCP, DNS en NTP

DHCP

• Componenten en flow: Een client gebruikt DORA (Discover, Offer, Request, Acknowledgment). Server pools (scopes) definiëren adresbereiken, masks, gateways (Option 3), DNS (Option 6), timers en vendor-opties (bijvoorbeeld Option 150 voor TFTP voor IP-telefoons).
• Relay: Wanneer de server zich niet op het client-subnet bevindt, relayt een Layer 3-interface broadcasts met ip helper-address om de aanvraag als unicast naar de server te sturen. DHCP snooping voegt Option 82 (circuit-id/remote-id) in, zodat de server locatiebewuste beslissingen kan nemen.
• Scopes en uitsluitingen: Maak pools die net groot genoeg zijn voor de verwachte clients plus groei. Reserveer statische adressen via MAC-reserveringen of sluit ze uit van dynamische toewijzing met ip dhcp excluded-address.
• Leases: Breng een balans tussen ‘churn’ en het hergebruik van adressen; kortere leases versnellen het terugwinnen van adressen, maar verhogen het DHCP-verkeer.
• Veelvoorkomende storingsmodi:
  • Relay heeft een ontbrekend/verkeerd helper-adres, of ACL’s blokkeren UDP 67/68.
  • Geen overeenkomende scope, uitgeputte pool of overlappende subnets.
  • Onjuiste default gateway-optie die bereikbaarheidsproblemen veroorzaakt na het opstarten.
  • Foutieve trust-configuratie van DHCP snooping waardoor antwoorden van de server worden gedropt.

• Nuttige commando’s:

undefined

undefined

• Minimaal relay-voorbeeld:

undefined

undefined

undefined

DNS

• Resolutie-flow: Een ‘stub resolver’ controleert de host-cache en het hosts-bestand en bevraagt vervolgens een ‘recursive resolver’. De recursieve server bevraagt iteratief root-, TLD- en ‘authoritative’ servers, cachet de antwoorden op basis van de TTL en retourneert een antwoord. Storingen kunnen NXDOMAIN (naam bestaat niet) of SERVFAIL (probleem bij het resolven) zijn.
• Ontwerprichtlijnen: Gebruik redundante recursieve resolvers; geef de voorkeur aan anycast voor lokaliteit en beschikbaarheid; stem TTL’s af om een balans te vinden tussen flexibiliteit en cache-efficiëntie. Dwing DNS-allowlists af voor gevoelige segmenten.
• Veelvoorkomende storingsmodi:
  • Geblokkeerd of asymmetrisch UDP/TCP 53, gebroken EDNS-afhandeling of MTU/fragmentatieproblemen.
  • Foutief geconfigureerde ‘search domains’ die leiden tot onjuiste FQDN-resolutie.
  • Verouderde/vergiftigde cache; DNSSEC-validatiefout.
• Basisconfiguratie van het apparaat:

undefined

.

NTP

• Tijdsynchronisatie maakt correlatie (logs, flows, security) en nauwkeurige meting van delay/jitter mogelijk. De hiërarchie gebruikt stratum-waarden (1 is direct verbonden met een referentieklok; 16 is niet-gesynchroniseerd).
• Clients, servers en peers vormen een stabiele ’time tree’; authenticeer NTP met sleutels om spoofing te voorkomen.
• IP SLA en jitter: Nauwkeurige tijdsynchronisatie (bijvoorbeeld met NTP) is vereist bij het meten van ‘one-way delay’ en om geldige jitter-berekeningen tussen nodes te garanderen.
• Veelvoorkomende storingsmodi: Onbereikbare servers, asymmetrische paden/scheeftrekking (‘skew’), verwarring met zomertijd/tijdzone, of het onbedoeld accepteren van niet-geauthenticeerde servers.

• Nuttige commando’s:

undefined

undefined

Zichtbaarheid en beheer: SNMP, Syslog, NetFlow en Telemetry

SNMP

• Versies: v2c (op basis van community-strings) vs v3 (auth/privacy). Geef de voorkeur aan v3 met authPriv voor integriteit en vertrouwelijkheid.
• Polling vs traps/informs: Poll voor reguliere statistieken; verstuur traps/informs bij statuswijzigingen. Informs bieden betrouwbaarheid via een ‘acknowledgment’.
• Beveiliging en schaalbaarheid: Beperk managers met ACL’s; pas rate-limiting toe op traps; minimaliseer het gebruik van ‘dure’ OID’s; vermijd standaard public/community-strings.

Syslog

• Levels: 0 emergency, 1 alert, 2 critical, 3 error, 4 warning, 5 notice, 6 informational, 7 debugging.
• Activeer timestamps en volgnummers; stuur naar redundante collectors; stel facility/level per feature in om ruis te vermijden.

• Voorbeeld:

undefined

undefined

undefined

NetFlow

• Legt metadata van conversaties vast (5-tuple, counters, timestamps). v5 is vast; v9/IPFIX zijn op templates gebaseerd en uitbreidbaar.
• Ontwerp: Exporteer naar ten minste twee collectors; pas sampling toe indien nodig om CPU-gebruik te verminderen; zorg voor tijdsynchronisatie (NTP) voor nauwkeurige analyses.

• Klassiek voorbeeld:

undefined

undefined

undefined

undefined

Model-driven telemetry

• Push-gebaseerde streaming van geselecteerde, in YANG gemodelleerde data via efficiënte transporten (bijvoorbeeld gRPC). Voordelen: lagere latency, voorspelbaar CPU-gebruik en betere schaalbaarheid dan periodieke SNMP-polling.
• Afwegingen: Vereist collectors die de modellen begrijpen; transportbeveiliging en QoS voor de stream zelf.

Veelvoorkomende storingsmodi en oplossingen

• Overmatige logging of polling die CPU-pieken veroorzaakt: stem levels af, batch of pas sampling toe.
• Tijdsafwijking (’time drift’): Repareer NTP om verkeerd geordende gebeurtenissen en slechte ‘flow stitching’ te voorkomen.
• Firewall/ACL’s die het management plane blokkeren: gebruik een dedicated OOB-management of VRF, en ‘control plane policing’.

NAT en Adresvertaling

Concepten

• Terminologie:
  • Inside local: Oorspronkelijk privéadres.
  • Inside global: Vertaald adres dat extern zichtbaar is.
  • Outside local/global: Adres van de externe host, gezien van binnenuit/buitenaf.
• Typen:
  • Statische NAT: Eén-op-één vaste mapping; stabiele inkomende bereikbaarheid.
  • Dynamische NAT: Veel-op-veel via een pool; alleen uitgaand totdat een vertaling is toegewezen.
  • PAT (overload): Veel-op-één of veel-op-enkele via TCP/UDP-poorten; meest gebruikelijk voor internet-egress.

Ontwerpoverwegingen en afwegingen

• Statische NAT voor servers die inkomende toegang nodig hebben; PAT voor clients om publieke IP’s te besparen.
• NAT doorbreekt end-to-end transparantie; sommige protocollen vereisen ALGs (FTP, SIP). Geef de voorkeur aan applicatiebewustzijn aan de grenzen van het netwerk of gebruik protocollen die tolerant zijn voor vertaling.
• Hoge beschikbaarheid: FHRP verplaatst de default gateway, maar de NAT-status is per apparaat; zonder stateful NAT reset een failover de flows. Plaats NAT op HA-firewalls/routers die statusreplicatie ondersteunen of stuur egress deterministisch.

Configuratievoorbeelden

• PAT met gebruik van de WAN-interface:

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

• Statische NAT voor een server:

undefined

Verificatie en probleemoplossing

undefined

,

undefined

undefined

• Veelvoorkomende problemen: Ontbrekende inside/outside op interfaces, geen route naar de pool, overlappende pools, ACL-mismatch, poortuitputting bij PAT, asymmetrische routering over meerdere uitgangen, of niet-afgehandelde hairpinning-behoeften.

QoS-basisprincipes: Classificatie, Markering, Queuing en Congestiebeheer

Classificatie en markering

• Classificeer op basis van ACL’s, IP precedence/DSCP, CoS of NBAR. Markeer aan de rand van het netwerk (edge); behoud markeringen waar deze vertrouwd worden.
• DSCP en CoS:
  • DSCP EF (46) voor voice bearer; CS3/AF31–AF33 voor signalering; AF41–AF43/CS4 voor interactieve video.
  • CoS-waarden op 802.1Q trunks vereisen mapping naar DSCP op L3-grenzen.
• Trust boundaries (vertrouwensgrenzen):

  • Vertrouw alleen apparaten die verantwoordelijk kunnen worden gehouden (bijvoorbeeld een Cisco IP-telefoon). Gebruik op een access-poort met een telefoon apparaatgebaseerd vertrouwen en behoud downstream prioriteiten:

undefined

-

undefined

undefined

undefined

undefined

Queuing en congestiebeheer

• CBWFQ: Gewogen scheduling op basis van bandbreedtegaranties.
• LLQ: Voegt een strict-priority queue toe aan CBWFQ voor latentiegevoelige klassen (spraak, interactieve video).
• PQ: Puur strict-priority; kan ander verkeer uithongeren als het niet wordt gepolicet. LLQ heeft de voorkeur omdat het prioriteitsverkeer standaard policet.
• WRED: Vroegtijdige willekeurige drop om TCP global synchronization te vermijden; niet toepassen op priority queues.

Policing en shaping

• Policing: Dwingt een snelheid af door overtollig verkeer te droppen/hermarkeren; lage vertraging maar verhoogt verlies en jitter.
• Shaping: Buffert pieken om binnen een gespecificeerde snelheid te passen; voegt vertraging toe maar vermindert drops verderop in de keten. Pas shaping toe op langzamere egress-links vóór hiërarchische policies.

• Voorbeeld LLQ-policy:

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

Doelstellingen voor spraak en video

• Spraak: Enkelrichtingsvertraging <150 ms, jitter <30 ms, verlies <1%. Gebruik LLQ voor bearers, bescherm signalering afzonderlijk.
• Video: Interactieve video vereist bandbreedte- en jittercontrole; streaming is toleranter voor verlies maar vergt veel bandbreedte. Overweeg aparte wachtrijen en admission control.

Validatie en meting

• Gebruik IP SLA om synthetische RTP/UDP te genereren en vertraging, jitter en verlies te meten; zorg voor NTP voor tijdnauwkeurigheid.
• show policy-map interface om tellers en drops per klasse te verifiëren.

Resiliëntie: Impact van FHRP en Operationele Validatie

FHRP

• HSRP/VRRP bieden een virtuele default gateway om storingen in de eerste hop te overleven; GLBP voegt load balancing voor gateways toe.
• Ontwerp: Stem timers af voor convergentie versus stabiliteit; gebruik object tracking voor een failover bij verlies van upstream/WAN-verbinding, niet alleen bij een interface-down status.
• Impact op de service: Tijdens een failover kunnen een ARP-refresh en rehashing een korte onderbreking veroorzaken; real-time flows zonder padsymmetrie of gerepliceerde NAT-status kunnen worden gereset. Houd het egress-pad consistent voor verkeer met prioriteit.

Operationele validatie en troubleshooting

• DHCP: Bevestig helper-adressen en poolgebruik; maak een packet-capture om DORA te zien; controleer DHCP snooping-tabellen.
• DNS: Valideer met nslookup/dig; controleer de redundantie van resolvers; inspecteer firewallregels en het gedrag van MTU/EDNS.
• NAT: Verifieer vertalingen tijdens actieve flows; zorg voor routes naar de ‘inside local’ en de pool; test inkomende statische NAT vanaf de buitenkant.
• NTP: Zorg voor een gesynchroniseerd stratum en een lage offset; vereis authenticatie.
• QoS: Valideer ’trust’; controleer service-policy-tellers onder realistische belasting; voer IP SLA-spraaktests uit; let op drops door de policer in verkeer met prioriteit.
• Zichtbaarheid: Bevestig dat SNMPv3 werkt en traps worden afgeleverd; controleer of syslog-tijdstempels correct zijn; zorg dat NetFlow-exporters zijn afgestemd op collectors; controleer of telemetriestreams stabiel zijn.

Praktijkscenario

Acme Manufacturing ervaart haperende IP-telefoongesprekken en sporadische DHCP-storingen op een filiaallocatie na het toevoegen van een tweede ISP en het inschakelen van PAT op een nieuwe router.

1. Stabiliseer routering en gateway-beschikbaarheid met FHRP

• Configureer HSRP op de VLAN SVI van de filiaallocatie over de twee routers, stel ‘preempt’ en prioriteiten in, en track de WAN-uplinks.
• Rationale: Een virtuele default gateway verbergt een router-failover voor eindpunten; object tracking verplaatst de gateway weg van een router die zijn upstream-bereikbaarheid heeft verloren.

2. Normaliseer NAT-gedrag en voorkom asymmetrische egress

• Plaats PAT alleen op de actieve HSRP-router; zorg ervoor dat de standby-router geen default route adverteert tenzij deze actief is, of implementeer PBR om de egress van het voice-VLAN aan één router te koppelen.
• Rationale: Asymmetrische egress verstoort stateful PAT en ALGs voor SIP/RTP; consistente egress zorgt voor het behoud van vertalingen en de stabiliteit van gesprekken.

3. Herstel de betrouwbaarheid van DHCP-relay

• Configureer op beide SVI-gateways ip helper-address naar de centrale DHCP-servers; verifieer ’trust’ voor DHCP-snooping richting de uplink en ‘untrust’ richting de access-poorten; sluit statische IP-bereiken uit.
• Rationale: Correcte relaying zorgt ervoor dat DORA de servers bereikt; snooping voorkomt ongeautoriseerde (‘rogue’) servers terwijl antwoorden van de server worden toegestaan; uitsluitingen voorkomen conflicten.

4. Stel nauwkeurige tijd in en maak metingen mogelijk

• Configureer NTP-clients op beide routers met geauthenticeerde servers, verifieer het stratum, en configureer vervolgens IP SLA udp-jitter-operaties richting de callmanager op het hoofdkantoor.
• Rationale: Nauwkeurige tijd is de basis voor de berekening van one-way delay en jitter; IP SLA valideert dat QoS spraak kan ondersteunen.

5. Implementeer een QoS-policy van edge naar WAN met ’trust boundaries’

• Vertrouw CoS op access-poorten alleen wanneer een Cisco IP-telefoon wordt gedetecteerd; remark DSCP voor spraak naar EF en voor signalering naar CS3; pas LLQ toe met 10% voor spraak, bandbreedte voor video en een fair-queue als standaard. Shape het verkeer naar de CIR van de provider voordat de policy wordt toegepast als de fysieke interface sneller is dan het gecontracteerde tarief.
• Rationale: Correcte ’trust’ voorkomt dat hosts hun prioriteit kunstmatig verhogen; LLQ garandeert lage latency; shaping voorkomt drops verderop in de keten (‘downstream’) aan de rand van het providernetwerk.

6. Verbeter de zichtbaarheid en verscherp de beveiliging van het management plane

• Schakel SNMPv3 in naar de NMS, syslog naar redundante collectors met tijdstempels, en NetFlow v9-exporters naar analytics; voeg control-plane policing toe voor SNMP en logging.
• Rationale: Waarneembaarheid (‘observability’) bevestigt verbeteringen en signaleert regressies; beveiligd beheer verkleint het aanvalsoppervlak terwijl telemetrie behouden blijft.

7. Valideer en simuleer vervolgens een storing

• Gebruik show policy-map interface om te bevestigen dat de tellers voor prioriteitsverkeer oplopen tijdens testgesprekken; observeer de IP SLA jitter-baselines; voer traceroute uit en test de failover door een HSRP-statuswijziging te forceren.
• Rationale: Operationele validatie onder belasting verifieert het ontwerpdoel; een gecontroleerde failover bewijst de veerkracht en legt eventuele ’edge cases’ met NAT of convergentie bloot.

← Dynamische Routing en IP-connectiviteit · Alle domeinen · Draadloos LAN-ontwerp en beheer →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →